NIS2 voor isolatiebedrijven

Valt jouw isolatiebedrijf onder NIS2?

Een isolatiebedrijf valt zelden rechtstreeks onder NIS2, omdat isolatiewerk geen sector is die de Cyberbeveiligingswet (Cbw) aanwijst. De omvangtoets komt pas aan de orde binnen een aangewezen sector, want de omvangscriteria alleen zijn niet altijd bepalend (NCSC, 2026). Voor de meeste isolatiebedrijven loopt NIS2 via opdrachtgevers in de keten.

De omvangtoets van de Cyberbeveiligingswet kijkt naar het aantal medewerkers, de jaaromzet en het balanstotaal (NCSC, 2026). Een organisatie in een aangewezen sector haalt de drempel met 50 medewerkers, of met meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cyberbeveiligingswet, 2026).

Met 50 tot 249 medewerkers wordt die organisatie een belangrijke entiteit (Cyberbeveiligingswet, 2026). Vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro, is het een essentiële entiteit met proactief toezicht (Cyberbeveiligingswet, 2026). Omzet alleen telt niet.

De boete voor een essentiële entiteit bedraagt ten hoogste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, telkens het hoogste van de twee (artikel 80 Cbw, 2026). Voor een belangrijke entiteit ligt het maximum op 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet (artikel 87 Cbw, 2026).

Overheidsorganisaties vallen ongeacht hun omvang onder de Cyberbeveiligingswet (artikel 8 Cbw, 2026). Een gemeente die een isolatieproject of een lokale subsidieregeling uitvoert, draagt dus zelf de zorgplicht. Jouw isolatiebedrijf levert aan die gemeente.

Toeleveranciers kunnen volgens de Rijksinspectie Digitale Infrastructuur (RDI) onder de wet vallen, afhankelijk van hun rol in de keten (RDI, 2026). De RDI heeft de NIS2-Zelfevaluatie ontwikkeld, waarmee je toetst of je organisatie zelf een essentiële of belangrijke entiteit is (NCSC, 2026).

NIS2 (EU-richtlijn 2022/2555) trad op 16 januari 2023 in werking, met 17 oktober 2024 als omzettingsdeadline voor de lidstaten (NIS2-richtlijn, 2022). De Eerste Kamer nam de Cyberbeveiligingswet op 7 juli 2026 aan en de wet is van kracht per 15 augustus 2026 (Rijksoverheid, 2026).

Valt je bedrijf wel zelf onder de wet, dan gelden de zorgplicht, de meldplicht en de registratie in het nationale register van de minister van Justitie en Veiligheid direct per 15 augustus 2026 (artikel 43 Cbw, 2026). Voor de kenniseis van bestuurders geldt een overgangstermijn: ieder uitvoerend bestuurslid toont vóór 15 augustus 2028 met een trainingscertificaat aan dat hij voldoet (artikel 24 Cbw, 2026). Wie later wordt benoemd, krijgt twee jaar vanaf de benoeming (artikel 24 Cbw, 2026).

Wat NIS2-plichtige opdrachtgevers van je eisen

Welke ICT van een isolatiebedrijf raakt NIS2?

De ICT van een isolatiebedrijf raakt NIS2 via de systemen waarmee je opdrachten van corporaties en gemeenten uitvoert: Microsoft 365, de laptops en tablets van werkvoorbereiders en monteurs, en de omgeving waarin woningdossiers binnenkomen. NIS2 artikel 21 noemt onder meer multifactorauthenticatie als maatregel voor die toegang.

Een NIS2-plichtige opdrachtgever toetst je dus op toegang, apparaten en herstel, niet op je spuitinstallatie of je vochtmeter. De eis over de toeleveringsketen in NIS2 artikel 21 legt die vragen bij jou neer. Per bedrijfsmiddel verwacht een auditor een benoemde eigenaar die verantwoordelijk is voor de bescherming ervan (NIS2 Quality Mark Auditrichtlijnen, 2025).

Het woningdossier zelf blijft eigendom van de corporatie. ClickOn beheert de toegang tot dat dossier, niet de inhoud. Die grens bepaalt wat je in een vragenlijst van je opdrachtgever als eigen maatregel opgeeft.

Handig als eerste controle is de dossiertoets: twee vragen per woningdossier. Wie heeft het geopend, en vanaf welk apparaat met welke beveiliging? Mkb-bedrijven hebben vaak geen eigen ICT- of cybersecuritymedewerkers, dus die antwoorden moeten uit het beheer komen en niet uit iemands geheugen (NIS2 Quality Mark, 2024).

Compliant werkplekbeheer dat NIS2-klaar is

Waarom speelt dit nu in de isolatiebranche?

De isolatiebranche krijgt met de Cyberbeveiligingswet (Cbw) te maken vanaf 15 augustus 2026, de datum waarop de wet in werking treedt (NCSC, 2026). Gemeenten vallen als overheidsorganisatie ongeacht hun omvang onder de wet (Cyberbeveiligingswet, 2026), en juist gemeenten sturen isolatieprojecten en subsidieregelingen aan. De Compliance Quick Scan laat je in één dag zien waar je Microsoft 365-omgeving staat voordat die vragen binnenkomen.

Een gemeente blijft volgens de Cyberbeveiligingsregeling Overheid zelf verantwoordelijk voor het besluit om een restrisico bij een leverancier te aanvaarden (Cyberbeveiligingsregeling Overheid, 2026). Die afweging komt bij je isolatiebedrijf terug als vragenlijst of contractclausule bij de gunning. Doorlopend werkplekbeheer en ClickOn Compliant MKB leveren daarvoor maandelijkse rapportage en bewijs per maatregel.

Welke andere normen gelden er voor isolatiebedrijven?

Voor isolatiebedrijven die voor woningcorporaties en gemeenten werken, raakt de AVG het eerst: woningdossiers bevatten adressen, contactmomenten met bewoners en soms de reden waarom een woning voorrang krijgt. Naast de AVG kunnen opdrachtgevers ISO 27001, ISO 9001 en maatregelen uit de BIO uitvragen. Elke opdrachtgever bepaalt zelf welke eisen hij oplegt.

AVG

Een isolatiebedrijf dat woningdossiers van een corporatie ontvangt, verwerkt persoonsgegevens in opdracht van die corporatie en legt dat vast in een verwerkersovereenkomst. Een gelekt dossier met de reden van voorrang raakt de bewoner direct.

ISO 27001

ISO 27001 vraagt een corporatie of gemeente uit zodra zij informatiebeveiliging in de aanbesteding meeweegt. Het mkb-panel bij het Cyberbeveiligingsbesluit stelde voor ISO 27001 als kapstok te hanteren, omdat veel mkb-bedrijven die norm al kennen (Cyberbeveiligingsbesluit, 2026).

ISO 9001

ISO 9001 raakt de ICT van een isolatiebedrijf alleen in een enge rol: documentbeheer, toegangsbeheer en registraties die je in Microsoft 365 bijhoudt (NEN-EN-ISO 9001, 2015). De rest van het kwaliteitssysteem ligt bij je eigen organisatie.

BIO

De BIO geldt voor overheidsorganisaties, en een gemeente kan maatregelen daaruit in het contract aan je doorleggen. Een corporatie kan hetzelfde doen. Volgens de BIO2 stelt elke entiteit zelf vast welke interne en externe eisen van toepassing zijn.

Een opdrachtgever kan daarnaast VCA of de CO2-prestatieladder uitvragen. Die eisen gaan over veilig werken en CO2-uitstoot, niet over informatiebeveiliging, en vallen buiten wat ClickOn beheert.

Veelgestelde vragen over NIS2 voor isolatiebedrijven

Moet een isolatiebedrijf zich registreren onder de Cyberbeveiligingswet?

Een isolatiebedrijf registreert zich alleen als het zelf onder de Cyberbeveiligingswet valt, en isolatiewerk is geen aangewezen sector. Registratie in het nationale register geldt voor organisaties die wel onder de wet vallen, per 15 augustus 2026 (artikel 43 Cbw, 2026). Het NCSC beantwoordt vragen over de reikwijdte in zijn FAQ over de Cyberbeveiligingswet.

Waarom vraagt een gemeente mijn isolatiebedrijf naar NIS2?

Een gemeente valt als overheidsorganisatie ongeacht haar omvang onder de Cyberbeveiligingswet (artikel 8 Cbw, 2026). De gemeente beslist zelf of zij een restrisico bij een leverancier aanvaardt, en toetst jouw ICT daarom met een vragenlijst of contractclausule.

Welke gegevens in woningdossiers vragen de meeste zorg?

Adressen, contactmomenten met bewoners en de reden waarom een woning voorrang krijgt vallen onder de AVG. ClickOn beheert de toegang tot die dossiers; het dossier zelf blijft van de corporatie.

Vallen mijn isolatiemachines en meetapparatuur onder het beheer?

Verwerkingsmachines en meetapparatuur vallen buiten het werkplekbeheer van ClickOn. Verbindt een apparaat met je netwerk, dan maak je daar een eigen risicoafweging over.

Wanneer is een organisatie een belangrijke of een essentiële entiteit?

Binnen een aangewezen sector geldt 50 tot 249 medewerkers als belangrijke entiteit (Cyberbeveiligingswet, 2026). Vanaf 250 medewerkers, of bij meer dan 50 miljoen euro jaaromzet én meer dan 43 miljoen euro balanstotaal, is het een essentiële entiteit (Cyberbeveiligingswet, 2026). De RDI biedt de NIS2-Zelfevaluatie om dat voor je eigen organisatie te toetsen.